使用 Windows Update for Business 管理设备驱动更新
使用 Windows Update for Business 管理设备驱动更新
是时候考虑向云更新工具过渡了，除了我们的 Windows 系统更新，设备驱动也该如此。如果你的组织正在计划通过一种现代手段来管理设备驱动更新，那 Windows Update for Business 绝对 gOxiA 首推的云工具/服务。
Windows Update for Business (以下简称：WUfB) 基于云的 Windows 系统更新服务，除了提供 Windows 质量更新、功能更新以外，还提供了驱动程序更新，这将使组织内的设备始终保持最新的状态。在过去我们在部署系统映像时需要基于驱动程序标准化最佳实践，将各种型号的设备驱动集中起来，分厂商型号或分类进行管理，然后再通过部署平台随系统映像一同部署，但在之后的时间里，那些设备驱动将始终保持在最初的版本，一旦驱动因为性能、兼容性和安全问题需要更新时，组织内的 IT 人员将承受巨大的压力和工作量。也许我们会通过设备厂商提供的专用更新程序，但总体来说无疑增加了无形的成本，对最终用户的体验也并非绝对的好。
当下，设备应用环境更新复杂，面对的挑战也更多，组织基于安全考虑，需要开始不断的进行设备驱动乃至固件的更新维护工作，此时就需要一套完善易用的方案。正如 gOxiA 前面所介绍的，WUfB 将是组织的首选，尤其是那些已经在使用现代管理方案 - Intune 的组织。
今天就跟随 gOxiA 快速上手 WUfB 管理设备驱动更新，你将发现原来一切都是那么简单轻松！！！
首先，我们要做一些准备工作，将组织内的设备进行汇总，确认其 deviceManufacturer 和 deviceModel 名称，这样我没就可以为每个具体型号的设备创建一个设备组用来接收驱动更新。对于已经注册到 Intune 的设备，我们可以检查设备的硬件属性，其中就包含了 deviceManufacturer (制造商) 和 deviceModel (模型) 名称。否则我们使用 WMIC 命令在端点设备上提取，命令为：wmic csproduct；如果你的组织设备已经升级到最新版的 Windows 11 24H2，请使用 PowerShell 命令提取，即：Get-CimInstance -ClassName Win32_ComputerSystemProduct
收集了设备必要的信息后，我们便可以访问 Intune Portal 创建一个“动态设备”类型的“安全组”，参考如下：
该设备组名为“ThinkStation P360U”，使用动态查询会自动将所有符合的设备自动匹配到该组，此时就会用上我们前面收集到的信息，deviceManufacturer Equals Lenovo；deviceModel Equals 30G2A00RCW，参考如下图：
接下来，我们从 Intune Portal 左侧的导航列表找到“设备”，并转至其下的“Windows 更新”，创建“驱动程序更新”。
这里允许选择创建两种类型的配置文件，一种是“自动批准所有推荐的驱动程序更新”；还有一种“手动批准和部署驱动程序更新”。先说前者，理解起来很简单，由 WUfB 推送的所有推荐的驱动程序更新都将自动审批并推送给最终的设备组，此外我们还可以配置在几天后可用，这样便有了一个缓冲期。对于那些“其他驱动程序”类型的驱动，仍将需要 IT 管理员手动审批。
手动批准和部署驱动程序更新的策略则需要 IT 管理员手动一个一个审批那些推荐的驱动程序。
为不同的设备组即不同型号的设备创建策略后，一单该组包含了设备，便会开始检索该设备所匹配的驱动，该组无设备时将不会生成驱动相关的数据。为了遵循设备驱动仅安装厂商针对该型号设备发布的驱动程序最佳实践原则，应该为每个设备型号创建一个设备组并分配一个驱动更新策略。
OK，今天的分享也到到此结束，不用担心 WUfB 的驱动程序质量，因为现代设备的驱动都会通过 WHQL 认证，由设备厂商发布到 WUfB，并且微软也会对其进行安全验证。通过 WUfB 管理设备的驱动更新，IT 人员的精力能够得到释放，去专注更有价值的工作，设备的驱动和固件的更新都将通过 WUfB 推送给端点设备并根据策略执行部署，一切都将变得如此轻松！！！
HOWTO: 使用 Intune 配置多显示器策略
HOWTO: 使用 Intune 配置多显示器策略
组织用户每天都在忙碌着，可能穿梭在多个会议室之间，或参加各种公开活动，当我们外接显示器或大型投屏设备时可能并不会留心最小化所有打开的文件，这些文件可能是一些机密的或很有隐私性的，想想吧！！！结果会怎样？？？
用户总在抱怨他们不是专业的 IT 人员，对设备和系统的使用并不会面面俱到，它们更关注于自己的本职工作。此时是组织 ITPro 出场的时刻了，要么不断宣讲和传授安全知识以及系统使用技巧，要么通过一种标准的配置方法去帮助用户实现那些并不在意但又非常重要的操作。
如果你的组织正在使用 Intune 这类现代管理平台，请留意 Intune 在 2025年2月5日 发布的功能更新（服务版本 2501），其中包含了一个新的设备配置支持，可用于配置多个显示模式，如：仅允许内置显示器，或外置显示器，或复制模式和扩展模式。这一配置将简化用户的配置过程，不仅提升了使用体验，还可确保“尴尬”发生。
接下来就跟随 gOxiA 做一次实践。首先打开 Intune Portal，在左侧导航栏找到并进入“设备”，然后转到“管理设备”下的“配置”页面，并创建一个新策略。这条用于配置多个显示模式的策略平台为“Windows 10 及更高版本”，配置文件类型为“设置目录”。
之后，跟随向导创建配置文件，起一个便于识别的策略名称。在“配置设置”这里点击“添加设置”，可以通过搜索“Configure Multiple Display Mode”快速找到，它位于“显示器”类别。
根据组织的标准选择一个默认的模式，我个人更倾向于“Extend”来实践，它既允许用户快速扩展屏幕，又能确保安全行。需要注意，在配置页面中提供了五个选项供我们选择。
组织 IT 也可以直接通过 CSP ConfigureMultipleDisplayMode 进行配置，以下配置信息。
./Device/Vendor/MSFT/Policy/Config/Display/ConfigureMultipleDisplayMode
属性格式：Int
允许的值：0（默认值），1（复制），2（扩展）
基于 21v Intune 实现 Windows Autopilot device preparation
基于 21v Intune 实现 Windows Autopilot device preparation
目前 21v Intune 已经支持 Windows Autopilot device preparation（以下简称 WADP），但它并不是传统意义上的 Windows Autopilot，如果你对这块的理解还有些模糊，不妨先阅读这篇日志“Windows Autopilot device preparation 与 Windows Autopilot 比较”。21v Intune WADP 与公有云相比先决条件和支持特性保持一致，而一些区别主要来自 21v Intune 本身，例如当我们要通过 WADP 阶段推送安装应用时，由于 21v Intune 不支持企业应用商店所以将无法强制安装 Company Portal App（公司门户应用），只能使用 WinGet 下载后以 LOB 应用方式进行推送安装。
其他配置方面都可参考之前已经分享的日志“Windows Autopilot device preparation 快速上手”，gOxiA 也专门制作了一段视频用于演示设备执行部署时的过程体验。
https://weibo.com/tv/show/1034:5098153565683731?from=old_pc_videoshow
对于一些网友反馈说无法正常配置 Intune 后台的问题，gOxiA 看了一下主要集中在设备组这块，有关 WADP 设备组的创建可以参考“Windows Autopilot device preparation - Create a device group”。当为设备组添加所有者时可能会出现无法找到“Intune Provisioning Client (f1346770-5b25-470b-88bd-d5744ab7952c)”的问题。如果当前租户中确认无法找到“Intune Provisioning Client (f1346770-5b25-470b-88bd-d5744ab7952c)”，可以文中的“Adding the Intune Provisioning Client service principal”部分，手动先去创建这个 AppID，之后即可为设备组正常添加所有者。
由于 gOxiA 是在测试环境，所以是直接用 connect-azuread 连接到 AzureChinaCloud 租户，然后使用如下命令行进行的添加。
New-AzureADServicePrincipal -AppId f1346770-5b25-470b-88bd-d5744ab7952c
最后，友情提醒别忘记检查用户是否分配了相关的License，gOxiA 在实践时就因为忽略了用户检查步骤，导致遇到了“Internet 断开”的问题，由于没有明确的错误提示，做了很久的排错才发现问题所在。
